[FUG-BR] Segurança PostgreSQL + vpopmail

[André Luiz de Souza]

2009/12/28 Paulo Henrique <paulo.rddck em bsd.com.br>
>
> Saudações a todos, estou testando uma implementação de servidor de
> e-mail com as seguintes caracteristicas.
>
> MTA : PostiFix
> Banco de Dados: PostgreSQL-8.4
> Interface de administração : PostfixAdmin
> Gerenciador de Domino virtual : Vpopmail
> Webmail: Squirrelmail
>
> E entre as documentações encontrei a seguinte infomação.
>
> You should not permit end-users to have shell access to this server.
> PostgreSQL by default allows any local user to access any database on
> the server. You can certainly tighten the security of the default
> PostgreSQL installation, but it is pretty much futile considering that
> vpopmail stores the PostgresSQL login/pass in the "libvpopmail.a"
> file. It is straightforward for any knowledgeable local user to be
> able to extract the user/pass from this file
>

Penso que este texto está fazendo referência à configuração do
pg_hba.conf, onde por padrão vem com uma linha parecida:
"
# TYPE  DATABASE    USER        CIDR-ADDRESS          METHOD
host    all         all         127.0.0.1/32          trust
"

ou

"
# TYPE  DATABASE    USER        CIDR-ADDRESS          METHOD
local   all         all                               trust
"

Para ajudar a melhorar a segurança, a palavra "trust" no final da
linha deveria ser trocada por outro método de autenticação, como "md5"
por exemplo.

Tem mais opções documentadas em
http://www.postgresql.org/docs/8.4/interactive/auth-pg-hba-conf.html


>
> No caso qual gerenciador a comunidade indicaria para não sanar tal
> problema de segurança.
> Até o momento estou restrito ao Vpopmail, ainda não testei outras
> aplicações que execute a mesma função que o VpopMail.
>
> Sem mais, no que a comunidade poder ajudar sou grato.
>
> Atenciosamente Paulo Henrique.
> -------------------------
> Histórico: http://www.fug.com.br/historico/html/freebsd/
> Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd